windbg 如何再内核模式调试用户空间的程序

最新推荐文章于 2025-03-17 14:03:40 发布
转载 最新推荐文章于 2025-03-17 14:03:40 发布 · 1.2k 阅读 · 0

本文介绍了使用Windbg进行进程切换及调试的基本步骤，包括获取所有进程信息、切换到指定进程地址空间、重新加载userPDB文件、非侵入式进程空间切换以及设置应用层断点的方法。

1：使用!process 0 0 获取用户空间的所有的进程的信息

 !process 0 0

**** NT ACTIVE PROCESS DUMP ****
    PROCESS 80a02a60  Cid: 0002    Peb: 00000000  ParentCid: 0000
    DirBase: 00006e05  ObjectTable: 80a03788  TableSize: 150.
    Image: System

。。。。。

 

2：使用.process /p + 你需要断的应用程序的EProcess地址切换到应用程序的地址空间

   例如：

.process  /p  0x80a02a60

3：重新加载user PDB文件

     .reload /f /user

4：使用非侵入式的切换进程空间

    .process /i /p 0x80a02a60

5：下应用层断点

bp

       bu 

     都可以

whatday
关注
使用Windbg调试目标进程的一般步骤及要点详解
dvlinker的技术专栏
06-04 3万+
本文以一个具体的崩溃实例来详细讲述使用Windbg动态调试目标进程的一般步骤及相关要点。
【愚公系列】2023年06月 内存分析之WinDbg（用户模式）
时光隧道
06-14 4162
内核模式和用户模式是操作系统中的两种不同的运行模式。内核模式是操作系统的高权限模式，运行在CPU的特殊特权级别下，可以执行任何CPU指令并且可以访问所有系统资源，包括硬件设备和内存。用户模式是操作系统的低权限模式，在这个模式下，CPU只能执行一部分指令，并且对系统资源的访问受到限制，例如只能访问属于自己进程的内存空间。当操作系统启动时，内核被加载到内存中，并运行在内核模式下。当用户运行应用程序时，应用程序运行在用户模式下，只能访问自己的内存空间和一些受限的系统资源。
用windbg内核模式调试用户态程序
内核小菜的专栏
02-10 794
很激动。。解决我一个调试驱动非常头痛的问题。。。。 在这个过程中拜读了 znsoft的文章和高端调试的 文章，的确很牛。。。。 链接如下：http://bbs.driverdevelop.com/htm_data/125/0901/115354.html http://advdbg.org/blogs/advdbg_system/articles/1492.aspx
[windbg] 附加到用户进程
LYSM
03-25 2042
!process 0 0 test.exe .process /i 进程的eprocess;g;.process /p 进程的eprocess; !peb 进程的peb;.reload /user bp test!你要下断的函数名
Windbg内核调试下调试应用层
justin_bkdrong的专栏
12-30 3275
用户态上下文有额外典型的两种，Session会话上下文和Process进程上下文，由于用户态进程访问的都是虚拟内存，要想调试用户态代码，就必须切换到相应的会话上下文和进程上下文，进行相关的设置。要注意的一件事是，上下文的切换，只对当前的调试空间有效，也就是说，当F5或者g之后，绝大部分的切换都将被重置。以下： 1.会话上下文(SessionContext)，关联的是登录会话。比如：
windbg kd 内核调试状态下调试用户某个进程
zhangyihu321的专栏
12-01 900
process 0 0 notepad.exe # 找进程。kd> g # 继续执行。.process /i /p # 通知调试器切换进程。process 0 0 notepad.exe # 查找记事本进程。.process /r /p # 刷新地址空间。process 0 0 # 简单列表。process 0 7 # 详细信息。
Windbg 内核态调试用户态进程
4SecNet团队专栏
07-13 2852
之前写过双机调试环境的搭建，一般用来调试驱动这样内核态的东西，今天遇到一个问题，就是在内核态的情况下怎么给用户态的程序下断点？也就是在内核态怎么调试用户态的程序，比如想要给CreateProcessW这个API下断点怎么整？因为CreateProcessW这个API是位于Kernel32.dll这个模块里边的，但是这个模块是属于用户态的模块，内核会话不会加载这个模块。 使用的示例：自己写的Demo，用OD附加之后，给CreateProcessW下断点（其实没必要使用OD附加） 接下来开始展示： 1、搭建双机
windbg 如何在内核模式调试用户空间的程序
qq_16624433的博客
12-19 616
1：使用!process 0 0 获取用户空间的所有的进程的信息 !process 0 0 **** NT ACTIVE PROCESS DUMP ****      EPROCESS 80a02a60  Cid: 0002    Peb: 00000000  ParentCid: 0000      DirBase: 00006e05  ObjectTable: 80a03788
Windows 调试程序 (WinDbg)
01-14
1. **内核模式调试**：WinDbg可以连接到本地或远程的目标系统，进行内核模式调试。这意味着你可以直接调试操作系统内核、驱动程序以及其他在系统级别运行的组件。这在修复系统稳定性问题、优化驱动程序性能或查找...
【愚公系列】2023年06月 内存分析之WinDbg（内核模式）
时光隧道
06-14 4218
内核模式和用户模式是操作系统中的两种不同的运行模式。内核模式是操作系统的高权限模式，运行在CPU的特殊特权级别下，可以执行任何CPU指令并且可以访问所有系统资源，包括硬件设备和内存。用户模式是操作系统的低权限模式，在这个模式下，CPU只能执行一部分指令，并且对系统资源的访问受到限制，例如只能访问属于自己进程的内存空间。当操作系统启动时，内核被加载到内存中，并运行在内核模式下。当用户运行应用程序时，应用程序运行在用户模式下，只能访问自己的内存空间和一些受限的系统资源。
WinDBG新版本，使用在windows 10以上的调试器说明
蓝果的博客
02-17 2074
win10 以上版本的操作系统调试器 windbg
常用命令
如鹿渴慕泉水的专栏
05-02 428
cnpm install --msvs_version=2015 -g node-inspector  cd "C:\Program Files\nodejs""C:\Program Files\nodejs\npm"  install --msvs_version=2015 -g node-inspector  cnpm install -g node-gypset GYP_MSVS_VERSI...
Windbg的常用命令
oBuYiSeng的博客
01-06 787
!process 0 0                     //先打印系统中的进程信息,找到自己想要调试的进程  !process 0 0 notepad.exe         //这里打印下notepad.exe(记事本)进程信息  .process /i /p 8721e2b0         //切换到应用程序的地址空间(默认在system进程空间)  .reload /f /
【转】从Ollydbg说起-----WinDbg用户态调试教程
狼窝
09-12 6812
【文章标题】: 【原创】从Ollydbg说起-----WinDbg用户态调试教程【文章作者】: 笨笨雄【作者邮箱】: nemo314@gmail.com【工具】:Windbg 6.6.7.5;Ollydbg 1.10     我假设你已经掌握Ollydbg的使用，并且希望用WinDbg进行内核级的调试。这篇教程将会以Ollydbg为线索，帮助你尽快掌握WinDbg的使用，并简单介绍它的一些特性。我
windbg 常用命令详解
热门推荐
chenyujing1234的专栏
07-13 9万+
一、 1、 !address eax 查看对应内存页的属性   2、 vertarget 显示当前进程的大致信息 3 !peb 显示process Environment Block     4、 lmvm 可以查看任意一个dll的详细信息 例如：我们查看cyusb.sys的信息 5.reload /!sym 加载符号文件 6、 l
精通Windows软件调试：使用Windbg指南
最新发布
weixin_42527589的博客
03-17 1914
调试是软件开发流程中不可或缺的一个环节，它是识别、分析并解决程序运行中出现错误的过程。随着软件复杂度的增加，高效的调试策略可以显著提升开发效率和产品质量。在复杂的调试场景中，开发者可能需要自定义符号解析规则，以便在多个符号文件之间进行更细致的选择。例如，可以设置规则仅加载特定编译器或特定版本生成的符号文件。过滤规则可以在符号路径设置中指定，或通过创建符号配置文件（.sym）来实现更复杂的符号管理策略。自定义过滤规则可以排除不必要的符号加载，减轻调试器的负担，加快调试过程。
如何配置WinDbg和VMware实现内核的调试
Jeromeyoung
12-05 3556
这时启动刚才设置好的 WinDbg 快捷方式，发现很快 WinDbg 就连上虚拟机中的 Guest OS了，如果很长时间没有连接上的话， 可以单击 WinDbg 菜单中的"Debug"->“Kernel Connection”->“Resynchronize”。默认的全局调试设置中，调试类型为 Serial，调试端口为 1，波特率为 115200，这已经是我们需要的设置了。设备状态，勾选“启动时连接”，表示在开启虚拟机操作系统时，与这个虚拟设备（串口），建立连接。单击“ 完成”，按钮。
深入解析Windows用户模式程序排错与调试技术
在用户模式下运行的应用程序受到严格限制，无法直接访问硬件资源或关键系统数据结构，所有对系统资源的请求必须通过系统调用进入内核模式完成。这种隔离机制保障了系统的稳定性与安全性，但同时也意味着一旦用户程序...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值